Explot für WP 2.2

olafson

bei Heise:
heise online - SQL-Injection-Lücke in Wordpress

beim Finder:
Wordpress 2.2 (xmlrpc.php) Remote SQL Injection Exploit

allerdings nur gefährlich für Blogs mit Anmeldung. Wenn man alleine postet, ist es wohl nicht sehr gefährlich.
Wenn man aber andere hat, so könnte ein Schreiber ohne große Probleme den Passworthash von sich nehmen, mit diesem den Passworthash des Admins überschreiben und sich mit seinem Passwort als Admin anmelden ...

Sozusagen eine Vertrauensfrage :-)

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Iunius

Zitat

Sozusagen eine Vertrauensfrage ....

Richtig und man ja eigentlich niemanden vertrauen sollte, hier die aktuelle & korrigierte Version:
'.stripslashes($post_data['post_title']).'

Gefunden bei: WordPress › Support » Wordpress 2.2 (xmlrpc.php) Remote SQL Injection Exploit

Gruß

jottlieb

Exploit ist in 2.2.1 gefixed welches wohl in ca. einer Woche rauskommen dürfte.

pufaxx

Dank an Olafson für den Hinweis ...

Für so etwas müsste es mal einen "Update-Monitor" geben ...

Franky7

huhu leute ;)

thx für die info

Hamada

So wie ich das verstehe, muss man die xmlrpc.php austauschen und dann klappt es wieder mit dem Nachbarn? Geht das ohne Probleme bei der eingedeutschten Version?

Iunius

Hamada, funktioniert ohne Probleme, da in der Datei nicht drinnen ist zum "eindeutschen".
Also einfach austauschen.

Gruß

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Explot für WP 2.2

Jetzt mitmachen!